Claude Code-sårbarhet lar ondsinnede depot stjele filer via symlink

Det nye funnet er ikke at Claude Code følger symlinker – det er dokumentert og hensiktsmessig. Det nye er omgåelsen av samtykke: sjekken for ekstern import kjøres mot den uoppløste stien, lesingen skjer på den oppløste stien, og minnelasteren fikk aldri den symlink-oppløsningsfiksen som ble brukt i to tidligere CVE-er i Claude Codes tillatelsessystem .

Anthropics svar

Tego AI rapporterte problemet via HackerOne i juli 2026. Anthropic lukket rapporten som 'Informativ' – det vil si at de ikke behandlet den som en sikkerhetssårbarhet under sin nåværende trusselmodell .

Anthropics begrunnelse: under Claude Codes trusselmodell er 'stol på denne mappen'-dialogen sikkerhetsgrensen. Å godta den dialogen gir allerede prosjektet bred lese-, redigerings- og utførelsestilgang. Tego AI bestrider ikke at Anthropic konsekvent bruker denne modellen, men argumenterer for at funnet likevel er viktig fordi data forlater maskinen automatisk, i stillhet og uten at brukeren er klar over det .

Verdt å merke seg: det samme symlink-vs.-sikkerhetssjekk-feilmønsteret var rettet to ganger før i Claude Codes tillatelsessystem:

• CVE-2025-59829 (rettet september 2025): symlink-omgåelse av nektelsesregler i filtillatelser
• CVE-2026-25724 (rettet januar 2026): samme mønster igjen, omgåelse av nektelsesregler via symlinker

Begge tidligere rettelser løste opp symlinken før sjekk av tillatelser – men den rettelsen ble aldri brukt på minnelasterens kodebane .

Bredere mønster: Claude-økosystemet og sikkerhet i KI-kodingsverktøy

Tego AIs avsløring er den andre Claude-økosystemfeilen på én uke. 14. juli 2026 avslørte Tego at Claude Tags Slack-integrasjon kunne trigges av vanlig @Claude-tekst i en melding, noe som potensielt kunne muliggjøre uautoriserte handlinger i bedrifter .

Utover Tego's arbeid har Claude Code samlet minst 28 CVE-er på omtrent ett år, inkludert:

• To kritiske sandkasseomgåelser med CVSS 10.0: CVE-2026-39861 (symlink-sandkasseomgåelse) og CVE-2026-25725 (settings.json-sandkasseomgåelse)
• CVE-2026-46406 (juni 2026): /copy-kommandoen skrev svar til en hardkodet, verden-lesbar mappe /tmp/claude/response.md, slik at enhver lokal bruker kunne lese hemmeligheter
• Check Point Research (februar 2026): kritiske feil (CVE-2025-59536, CVE-2026-21852) som muliggjorde RCE og tyveri av API-nøkler via ondsinnede depotkonfigurasjonsfiler

Bransjeomfattende forskning viser at dette ikke er unikt for Anthropic:

• GhostApproval (Wiz, juli 2026): Symlink-feil i seks KI-kodingsassistenter (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) lot et ondsinnet depot få verktøyet til å skrive til sensitive filer mens brukeren godkjente skriving til en ufarlig fil
• SymJack (Adversa AI, mai 2026): Et enkelt symlink-kapringsangrep som oppnådde RCE på tvers av seks produkter (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Brukeren godkjenner en filmkopiering; kjernen skriver et annet sted
• TrustFall (Adversa AI, mai 2026): Depotdefinerte MCP-tjenere utføres automatisk når brukeren godtar mappetillitsmeldingen

Den underliggende arkitektoniske spenningen er konsekvent på tvers av bransjen: KI-kodingsagenter trenger bred tilgang til filsystem, skall og nettverk for å være nyttige – men den forhøyede tilgangen er den samme som en angriper trenger. Hver sandkasseomgåelse, stitråkk og tillitsdialog-omgåelse stammer fra denne samme utfordringen . Angrepsflaten krymper ikke; nye funksjoner legger til nye vektorer raskere enn eksisterende blir lappet.